Windows : 雞尾酒法清除惡意軟體 ( malware )

前幾天同事打電話來求救，他們家的電腦不知怎麼了，Windows 7 桌面的圖示不見了，程式集裡的清單消失了，更慘的是，碟碟開啟後，在檔案總管中看起來空白一片；開完機，畫面中出現的是一堆錯誤訊息......。我利用「命令列提示字元」下「dir /a」來查詢檔案清單，其實檔案都存在，只是檔案屬性被改為隠藏而看不到；對準「工作列」想要啟動「工作管理員」，畫面只閃動一下，並未出現工作管理員。由這一切的線索看來，都像中毒的徵兆。由於同事家裡沒有第二臺桌機可掃毒，只好請同事找出備份資料用的行動硬碟，然後將電腦帶回我家，準備來「抓鬼」。哈！雖然猜到原因了，不過，還是和它奮戰了三天才解決，下面就記錄一下如何把「鬼」請出電腦的。
現在我自己用的桌機並沒有安裝任何防毒軟體，加上家裡的電腦只有我們家老婆的 Acer 1825PTZ 中有 Windows 7 ，於是我利用之前買來給 MBP 用的外接盒，將同事電腦中的 SATA 硬碟轉接後，以 USB 和我們家老婆的筆電連線 (這真是一個錯誤的決定，實在很慢)，然後先將中毒電腦硬碟中的資料備份到行動硬碟中，再以「小紅傘」 掃毒。備份資料就耗去了不少時間，掃毒則是掃瞄到隔天早上，而且沒收穫，趕著上班，只好先放著不管。
有鑑於小筆電實在「不夠力」，第二回請出了我們家目前速度最快的電腦 MBP，這樣一來，就可以讓外接盒以 Firewire800 來連線，速度提昇很多。這臺 Mac 上根本沒有安裝任何防毒軟體，只好先找找有沒有 Mac OS X 上合用的軟體，最後選定了「Sophos Anti-Virus for Mac Home Edition」。不過，掃瞄了一晚，隔天驗收成果，仍毫無斬獲。
想一想，已經很久沒幫人處理中毒的電腦，還是先上網研究一下資料再戰吧！後來看到了 PPT 中的這一則

• Re: [求救] 桌面全黑 許多資料夾被改為隱藏

裡面描寫的情形還滿像的，於是開始照「藥單」「抓藥」並「服用」。
先將中毒的 Windows 7 按「F8」後，選「安全模式 (含網路功能)」的點單開機，連上網路以後，下載了：

• RKill ( http://www.bleepingcomputer.com/download/rkill/ )
• TDSSKiller.exe (  http://support.kaspersky.com/faq/?qid=208280684 )
• Malwarebytes Anti-Malware Free (  http://www.malwarebytes.org/products/malwarebytes_free/ )
• Unhide (  http://www.bleepingcomputer.com/download/unhide/ )
• CCleaner ( http://www.piriform.com/CCLEANER )

BleepingComputer 的 RKill 可以先幫我們把記憶體中已執行的惡意程式先終止掉，這樣可以避免後續的「抓鬼」程式被「綁架」了。

Kaspersky 的 TDSSKiller 則可以幫我們在中毒的電腦上快速掃瞄並清除一些病毒。

Malwarebytes Anti-Malware Free 安裝以後，也是用來掃瞄並清除病毒。

BleepingComputer 的 Unhide 在解毒後，可以幫我們快速的把磁碟機中被隠藏的檔案和資料夾，甚至「機碼」復原。

本來以為利用前四支程式就解毒了，結果重新開機以後，刷～刷～刷～Windows 7 桌面上的圖示又開始一個個消失。回想了一下，在用這種「雞尾酒式除鬼法」前，曾經利用 CCleaner 在「啟動」中有看過怪怪的名稱，哈！果然在 C:\ProgramData 下的程式還藏在那裡，並沒有被清除掉。
於是只好重新再玩一次，不過，這次的「雞尾酒」再加入最後一味：進入 CCleaner 的「工具」→「啟動」，看到路徑是在 C:\ProgramData 下的怪怪程式，刪除掉該啟動項目。然後再進入到 C:\ProgramData 目錄中，將該程式刪除。至此，總算大功告成！
同事電腦的 T 牌防毒軟體已到期很久了，為了讓它有基本的防護，幫它加裝了小紅傘。雖然不知道它可以撐多久，如果沒有良好使用習慣，有防總比沒有的好。